FirstVDS сообщила об атаке через уязвимость в VMmanager 6

FirstVDS сообщила об инциденте в своей инфраструктуре: 17 октября злоумышленники получили доступ к части системы управления виртуализацией VMmanager 6. Через уязвимость атакующие добрались до отдельных узлов виртуализации и данных клиентов, чьи серверы на них размещались.

Компания уже отправила затронутым клиентам уведомления в личном кабинете и по электронной почте. В сообщениях указан список потенциально затронутых серверов и приведены дальнейшие инструкции. Если уведомление не пришло, FirstVDS не обнаружила следов атаки на соответствующих узлах, однако расследование продолжается.

Какие данные могли быть скопированы

На части серверов инфраструктуры злоумышленники запустили программу для кражи данных. Она подключала диски клиентских виртуальных серверов в режиме только для чтения и копировала содержимое на внешний сервер. По данным FirstVDS, в распоряжении атакующих могли оказаться пароли, SSH- и API-ключи, токены, конфигурационные файлы, история команд, криптокошельки и пользовательские файлы.

Атака затронула не всю инфраструктуру провайдера. Вредоносная программа не изменяла содержимое дисков виртуальных машин и не запускалась внутри самих серверов, поэтому на них может не быть обычных следов компрометации. Серверы при этом продолжили работать в штатном режиме. Получившим уведомление клиентам компания рекомендует исходить из того, что данные с указанного сервера были скопированы.

Что сделала FirstVDS

После обнаружения атаки провайдер отключил внешний доступ к системе управления виртуализацией, через которую произошёл взлом, и заблокировал в своей сети адрес сервера злоумышленников. Вендор VMmanager выпустил промежуточный патч и готовит окончательное исправление. До полного устранения уязвимости доступ к системе управления останется закрытым.

Рекомендации для клиентов

Главный риск связан с возможным использованием украденных учётных данных. Клиентам, получившим уведомление, FirstVDS советует как можно быстрее выполнить следующие действия:

1. Защитить криптокошельки. Перевести средства на новые кошельки, созданные на другом, заведомо чистом устройстве.
2. Сменить пароли, ключи и токены. Это касается учётных записей root и пользователей, баз данных, панелей управления сайтами, почты, облачных сервисов, CI/CD и платёжных систем.
3. Отозвать старые ключи. Недостаточно просто выпустить новые: прежние ключи необходимо отключить в облачных консолях, GitHub или GitLab и у платёжных провайдеров.
4. Проверить журналы входов. Следует изучить логи на сервере и в сервисах, доступ к которым хранился на нём, обращая внимание на подключения с незнакомых адресов после 17 октября.
5. Проверить конфигурацию сервера. Если злоумышленник успел войти до смены учётных данных, стоит проверить файл ~/.ssh/authorized_keys, список пользователей, задания cron и службы systemd.
6. Оценить обязанности по защите персональных данных. Если на сервере хранились персональные данные клиентов, FirstVDS рекомендует проконсультироваться с юристом о необходимости уведомления Роскомнадзора.

Компания обещает опубликовать постмортем после завершения расследования и закрытия инцидента. Дополнительную информацию FirstVDS намерена добавлять по мере её появления.